Microsoft Copilot 漏洞因自行披露而曝光。

Varonis 安全研究人员发现，Microsoft 365 Copilot Enterprise 存在一个严重漏洞，攻击者可在未经用户确认的情况下窃取用户密码和敏感数据。研究人员通过询问 Copilot 自身的安全防护机制发现了这一漏洞，最终促使这款 AI 助手泄露了一个未公开的提示词参数，该参数能够绕过用户同意要求。Microsoft 在 Varonis 报告该漏洞三个月后的 2 月低调缓解了这一问题，并于周二推出了更全面的修复措施。该漏洞可通过包含特定参数的恶意 URL 加以利用，用户点击后即可自动执行命令。这一发现凸显了 AI 助手架构中的安全风险：其内部机制可能通过对话式探测暴露出来。

Varonis 研究人员通过询问 Copilot 发现漏洞

Varonis 研究人员旨在构造一种漏洞利用，使攻击者能够在用户点击链接时窃取其数据。Copilot 最初拒绝了这一请求，并表示，涉及敏感提示词的操作需要用户通过按下回车键等方式明确同意。随后，研究人员询问 Copilot，在执行高权限命令之前要求用户确认的安全防护机制是什么。

“起初，Copilot 一直拒绝回答，但每次拒绝都会泄露有关其内部架构的技术细节，”Varonis 高级研究员 Lior Adar 在一次采访中表示。“Copilot 最终披露了一个未公开的参数。我拿到这些参数后，就利用它让提示词自动执行。”

这段对话由一系列有针对性的问题组成。Copilot 的每次回答都提供了有关其安全机制的信息。研究人员询问了命令为何无法自动执行、涉及哪些 URL 结构和深层链接，以及页面加载时提示词字段中已经存在输入内容会发生什么。每个回答都让他们进一步了解了安全防护机制及其局限性。

未公开参数绕过用户同意要求

Copilot 披露了一个未公开的提示词参数，可完全绕过用户同意要求。该参数为 ?autorun=1。与 ?q= 参数结合使用时，研究人员构造的提示词会在目标用户点击恶意 URL 的瞬间静默执行。

Microsoft 于 2 月缓解漏洞

Microsoft 在 Varonis 报告该漏洞三个月后的 2 月低调缓解了这一问题，具体做法是不再允许 ?q= 参数将文本注入聊天机器人的输入框。用户必须改为手动点击并输入内容，这一要求阻止了第三方浏览器集成按原计划使用该参数。Microsoft 于周二推出了更全面的修复措施。

常见问题

Varonis 研究人员在 Microsoft 365 Copilot Enterprise 中发现了什么漏洞？

Varonis 研究人员发现了一个漏洞：当用户点击包含特定参数的恶意 URL 时，攻击者可在未经用户确认的情况下窃取用户密码和敏感数据。

研究人员是如何发现 Copilot 中未公开参数的？

研究人员询问了 Copilot 的安全防护机制和用户同意要求。通过一系列有针对性的问题，Copilot 披露了其内部架构的技术细节，并最终泄露了能够绕过用户同意要求的未公开参数 ?autorun=1。

Microsoft 何时修复了 Copilot 漏洞？

Microsoft 在 Varonis 报告该漏洞三个月后的 2 月低调缓解了这一问题，并于周二推出了全面修复措施。